Outlook.comがDMARCレコードを持たないドメインからのメールを静かに拒否

Outlook.comがDMARCレコードを持たないドメインからのメールを静かに拒否

2026年11月5日以降、Microsoftのコンシューマー向けメールサービスは、DMARCレコードを発行していないドメインからのメールの一部を拒否するようになりました。もしあなたの会社がoutlook.com、hotmail.com、live.com、またはmsn.comアドレスの顧客、ベンダー、応募者にメールを送っている場合、その一部は現在バウンスしている可能性があります。誰もこれを発表しませんでした。修正はDNSレコード1つです。

主なポイント

• Outlook.com、Hotmail、Live、MSNは、DMARCレコードがないドメインからのメールの一部を拒否するようになりました。
• これは、Microsoftが公開しているルールが対象とするバルク送信者だけでなく、通常の低ボリューム送信者にも影響します。
• 一部のメッセージしかバウンスしないため、「私のメールは届いている」からといってドメインが安全とは限りません。
• 修正は単一のTXTレコード v=DMARC1; p=none であり、他の受信者があなたのメールをどのように扱うかについては何も変更しません。

バウンスの様子

送信者は、以下のようなバウンスメッセージを受け取ります。メッセージごとにサーバー名とIDは異なります。

550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)

初日には、同じ拒否が (AS9031519) コードなしで返されました。

550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records

この文面は、何かがひどく壊れていることを示唆しています。しかし、実際にはそうではありません。私たちが確認したバウンスしたドメインのほとんどは、SPFが機能しており、多くはDKIMも備えていました。欠けていたのは、これら2つをFromアドレスに紐付けるDMARCレコードでした。

何が変わったか

Microsoftは公開されている送信者ルールを持っています。2025年5月以降、Outlook.comに1日あたり5,000通以上のメッセージを送信するドメインは、SPF、DKIM、DMARCをパスする必要があり、そうでなければ 550 5.7.515 Access denied を受け取ります。このルールはマーケターやバルク送信者を対象としており、ほとんどの中小企業は自分たちには適用されないと正しく想定していました。

この新しい拒否は、重要な点で異なります。

• 小規模送信者にも届く。 小規模オフィスからの1行の返信でもバウンスする可能性があります。
• 発表されなかった。 11月6日現在、Microsoftはこの件について何も公開していません。ポストマスターからの通知、ブログ記事、サービス正常性エントリなどはありません。
• 何が失敗したかを示さない。 5.7.515のバウンスはSPF、DKIM、DMARCの結果をリストしますが、これはレコードが欠落しているとだけ述べています。

私たちは11月5日に自社の送信ログでこれらのバウンスを初めて確認しました。他の管理者からの公開レポートも同日に現れ始めました。

見落としやすい理由

Microsoftは影響を受けたドメインからのメールの一部しか拒否しません。 あるHotmailアドレスへのメッセージは届きますが、次のメッセージはバウンスし、再送信は成功するかもしれません。この一貫性のなさが危険なのです。メッセージを送信した人は、専門用語でいっぱいのバウンスメッセージを見て、一時的な不具合だと考え、次に進みます。受信者側は、メッセージが送信されたことにすら気づきません。

あなたのビジネスが個人のアドレス（患者、住宅所有者、応募者、親、会員など）に連絡することに依存している場合、そのコストは静かです。届かない請求書、届かない予約確認、無視されたように見える返信などです。

あなたのドメインは影響を受けていますか？

あなたのドメインにDMARCレコードがない場合、それは脆弱です。数秒でどの端末からでも確認できます。example.com をあなたのドメインに置き換えてください。

dig +short TXT _dmarc.example.com

"v=DMARC1 で始まる行があれば、レコードが存在します。出力がなければ、存在しません。この拒否がターゲットとしているのはこのケースです。

修正はDNSレコード1つ

DNSホストにTXTレコードを追加します。

• 名前: _dmarc
• 値: v=DMARC1; p=none

p=none は安全な出発点です。 これは、あなたのドメインがDMARCを使用していることを宣言し、受信者にレポートを送信するように求めますが、失敗した場合の措置は取らないように指示します。Gmail、Yahoo、その他の受信者があなたのメールをどのように扱うかについては何も変更されません。

ただし、条件が1つあります。DMARCは、Fromアドレスのドメインに対してSPFまたはDKIMがパスした場合にのみパスします。どちらも一致しない場合、DMARCレコードだけでは役に立ちません。アライメントがどのように機能するか、そしてなぜそれがほとんどの設定で間違ってしまうのかについては、SPF、DKIM、DMARCはもはやオプションではないで説明しました。

すべての3つのレコードのチェックを含むステップバイステップの手順は、Outlook.com 5.7.1エラーのガイドにあります。

MailRoute経由でメールを送信している場合

MailRouteのアウトバウンドリレー経由で送信するメールは、DMARCが必要とする両方のチェックをすでにパスしています。

• SPF。 あなたのメールは、あなたのドメインをエンベロープ送信者として保持し、include:spf.mailroute.netが承認するサーバーから送信されます。
• DKIM。 私たちはすべてのアウトバウンドメッセージにあなたのドメインとして署名し、あなたのmr01、mr02、mr03 CNAMEレコードが指すキーを使用します。すべての3つを発行してください。これにより、署名が壊れることなくキーをローテーションできます。

MailRouteの送信者の場合、DMARCレコードが唯一の修正です。それが設定されれば、Outlook.comは認証されたドメインと認識し、DMARCはどちらかのチェックでパスします。MailRouteアウトバウンドリレー用のDMARC発行ガイドは、準備ができたらp=noneから実施への移行を案内します。

MailRoute経由でメールを送信していない場合

DMARCレコードは依然として修正ですが、メールを送信しているサービスがあなたのドメインに対してSPFまたはDKIMをパスする必要があります。例えば、Microsoft 365は、独自のonmicrosoft.comドメインで署名しますが、あなたのドメインに対してDKIMを有効にするまで、その署名はDMARCの対象とはなりません。姉妹会社のmxioは、あらゆる送信者向けのこのエラーガイドを持っており、ページからあなたのドメインをテストするチェッカーも提供しています。

今後の方向性

これは、すべての主要なメールボックスプロバイダーがたどっているパターンです。要件はバルク送信者から始まり、締め切りとともに発表され、その後静かにすべての人のためのベースラインになります。p=noneでのDMARCは、もはやベストプラクティスではなく、最低限の要件です。

それは悪いことではありません。なりすましは、今日のフィッシングやビジネスメール詐欺の多くが始まる方法であり、認証されたドメインはなりすましがはるかに困難なドメインです。今日Outlook.comにメールを配信させるp=noneレコードは、受信者にあなたのドメインを偽装したメールを拒否するように指示するp=rejectへの最初のステップでもあります。

最初からアウトバウンドメールに正しく署名するリレーが必要な場合は、セットアップドキュメントでSPF、DKIM、DMARCのセットアップ方法を説明しており、準備ができたらトライアルを開始できます。今日レコードを追加してください。数分で完了し、メールが消える理由が一つ減ります。